CVE-2026-76312: Kritisk fejl i Splunk Enterprise

Splunk Enterprise har en sårbarhed af typen forkert adgangskontrol (CWE-284), hvor systemet ikke tjekker rettigheder korrekt, før det udleverer data. Fejlen sidder i den funktion, der arkiverer og udleverer resultater fra søgejobs (dispatch archive download). Når en rapport er indlejret på en side, sørger Splunk normalt for, at kun autoriserede kan se dataene. Men arkivfunktionen håndhæver ikke denne grænse korrekt og lægger følsomt sessionsmateriale ind i de arkiverede søgejobsdata. En person, der blot kan se HTML-kildekoden på en side med en indlejret Splunk-rapport, kan derfor udtrække sessionsmateriale og bruge det til at logge sig ind, som var vedkommende en autoriseret bruger.

Det rammer alle organisationer, der kører Splunk Enterprise i versioner under 10.4.1, 10.2.6, 10.0.9 eller 9.4.14, og som bruger funktionen indlejrede rapporter (embedded reports) på dashboards, intranet eller kundevendte sider. Det gælder både kommuner med interne overvågningsdashboards og virksomheder, der deler Splunk-rapporter med kunder eller samarbejdspartnere via eksterne sider.

En angriber, der ikke behøver at være logget ind, kan hente sessionsmateriale ud fra sidens HTML-kode og bruge det til at læse alt det data, som den pågældende session har adgang til. Det kan være logdata med personoplysninger, adgangskoder eller forretningskritiske oplysninger. Angriberen kan også ændre gemte søgninger og rapporter, hvilket påvirker systemets integritet. Konsekvensen for en dansk virksomhed kan være læk af følsomme logdata og manipulerede rapporter, som medarbejdere efterfølgende træffer beslutninger ud fra.

CVSS-scoren er 9,4 ud af 10, hvilket er kritisk. Angrebet kræver ingen godkendelse (PR:N) og ingen handling fra en bruger (UI:N). Det kan udføres over netværket (AV:N) med lav teknisk kompleksitet (AC:L). Fortrolighed og integritet rammes hårdt (begge High), mens tilgængeligheden kun rammes let (Low). Der er ikke oplyst om aktiv udnyttelse eller offentligt tilgængelig proof of concept-kode på offentliggørelsestidspunktet, men den lave adgangsbarriere gør sårbarheden attraktiv at udnytte, så snart detaljer bliver kendt.

Sådan lukker I hullet og begrænser skaden:

1. Opdatér Splunk Enterprise til 10.4.1, 10.2.6, 10.0.9 eller 9.4.14 afhængig af hvilket versionsspor I følger. Dette lukker selve sårbarheden.
2. Indtil opdateringen er gennemført, bør I deaktivere eller begrænse adgangen til sider, der indlejrer Splunk-rapporter, særligt hvis siderne er tilgængelige uden for jeres netværk.
3. Rotér sessions- og API-nøgler, der kan have været eksponeret via indlejrede rapporter, så eventuelt stjålet materiale ikke længere kan bruges.
4. Gennemgå adgangslogs for dispatch- og archive-download-endpointet for usædvanlige forespørgsler eller uautoriseret adgang.
5. Informér relevante systemejere om, at gemte søgninger og rapporter bør kontrolleres for uautoriserede ændringer.
6. Hvis I ikke kan opdatere med det samme, eller I finder tegn på misbrug i jeres logs, bør I kontakte os eller en anden sikkerhedspartner for hjælp til undersøgelse og afhjælpning.